Monitoring op afstand toont de machinestatus. Toegang op afstand verbindt een bevoegde gebruiker met een bepaalde resource. Besturing op afstand kan een actie aanvragen of uitvoeren die het proces verandert. Deze functies kunnen infrastructuur delen, maar zijn niet uitwisselbaar. PLC's, ontworpen besturingssystemen, veiligheidsfuncties en lokale procedures behouden hun vastgelegde bevoegdheden.
Dit onderscheid is van belang voor machinebouwers omdat een servicevoorstel dat zegt ‘verbinding op afstand’ naar alles kan verwijzen, van het bekijken van een dashboard tot het wijzigen van controllerlogica. Deze taken hebben verschillende gevolgen, machtigingen, bewijsbehoeften en herstelplannen.
Wat is het verschil tussen monitoring, toegang en besturing?
Gebruik de functie en effectieve toestemming, niet het productlabel, om een workflow te classificeren.
| Functie | Primair doel | Typische bron of gegevens | Proceseffect | Voorbeeld OEM-taak |
|---|---|---|---|---|
| Bewaking op afstand | Observeer en interpreteer de staat | Dashboard, trends, alarmen, productiegeschiedenis, geselecteerde waarden | Geen bedoeld | Bekijk een foutpatroon of de geschiedenis van productiestops |
| Toegang op afstand | Geef een beperkt pad naar een resource op | Webapplicatie, HMI, engineeringwerkstation, SSH of desktopservice | Afhankelijk van de doelmachtigingen | Open een goedgekeurde diagnostische toepassing |
| Bediening op afstand | Een status- of configuratiewijziging aanvragen of veroorzaken | HMI-opdracht, programmeertool voor controller, parameter- of receptinterface | Mogelijk of bedoeld | Wijzig een parameter volgens een goedgekeurde procedure |
Toegang bepaalt welke bron de gebruiker kan bereiken. De machtigingen van de doeltoepassing bepalen welke acties beschikbaar zijn. Een gebruiker kan externe toegang hebben tot een alleen-lezen dashboard. Een andere gebruiker kan een technisch werkstation bereiken dat de PLC-logica kan wijzigen. Het transport kan er hetzelfde uitzien, terwijl de operationele consequentie compleet anders is.
Monitoring is ook alleen-lezen als het hele pad dit afdwingt. Een dashboardtitel of uitgeschakelde knop is niet voldoende als het onderliggende account, de API, de service of de downstream-applicatie nog steeds schrijfbewerkingen toestaat.
Waarom is het onderscheid belangrijk voor OEM-service?
Machinebouwers ondersteunen vaak machines bij klanten. Zij bepalen daar niet de productieplanning, het netwerkbeleid of de lokale veiligheidsafspraken. Onduidelijke servicetermen kunnen bij OEM en klant andere verwachtingen wekken over wie wat mag doen.
‘Problemen op afstand oplossen’ kan veel taken omvatten: alarmen bekijken, logboeken verzamelen, een beheerd werkstation openen, online verbinding met een PLC maken, parameters wijzigen, een programma naar de PLC laden, een fout resetten of apparatuur starten. Beschrijf per taak de resource, handeling, uitvoerder, voorwaarden en goedkeuring.
Hoe ziet een heldere architectuur eruit?
Een nuttig ontwerp scheidt vier lagen:
- Machine- en besturingslaag. Sensoren, actuatoren, PLC's, aandrijvingen, robots, DCS's en veiligheidssystemen voeren hun technische functies uit.
- Observatie- en applicatielaag. HMI, SCADA, meetarchieven, MES en diagnostische tools tonen geselecteerde gegevens. Waar het ontwerp dat toelaat, bieden ze ook toegestane bedieningsfuncties.
- Toegangslaag. Een beperkt netwerk, gateway, broker, proxy, VPN of verbinding per resource koppelt een geïdentificeerde gebruiker of goedgekeurd servicemiddel aan een bepaalde resource.
- Toestemming en werkprocedure. De eigenaar van de installatie bepaalt wie de taak mag uitvoeren, wanneer het werk mag starten, welke lokale afstemming nodig is en hoe herstel plaatsvindt.
Een geslaagde aanmelding vervangt deze vierde laag niet. Identiteit en toegangsbeleid begrenzen welke resource een gebruiker bereikt. Ze bevestigen niet dat de lijn vrij is, de onderhoudsperiode is begonnen of lokaal herstel gereedstaat.
De NIST Guide to OT Security kadert OT rond systemen die fysieke apparaten, processen en gebeurtenissen monitoren of controleren, terwijl de nadruk wordt gelegd op prestatie-, betrouwbaarheids- en veiligheidsvereisten. Daarom moet de consequentie van een handeling op afstand onderdeel blijven van de architectuur.
Hoe moeten algemene servicetaken worden geclassificeerd?
Classificeer de taak voordat u de toegangsmethode kiest.
| Service taak | Minimaal waarschijnlijk vermogen | Extra bedieningselementen om te definiëren |
|---|---|---|
| Bekijk de alarm- en statusgeschiedenis | Bewakingspad | Versheid van gegevens, betekenis van tijdstempel, bronkwaliteit, retentie |
| Een web-HMI beoordelen | Toegang tot één applicatie | Lees-/schrijfrechten, sessie-eigendom, lokale zichtbaarheid |
| Verzamel logboeken van een werkstation | Toegang plus bestandsafhandeling | Toegestane mappen, malwarecontroles, verwerking van bewijsmateriaal |
| Stel online een diagnose van de PLC-status | Technische toegang | Exacte besturing, gereedschapsversie, modus, lokale coördinatie |
| Wijzig logica of firmware | Procesbeïnvloedende toegang/controle | Back-up, geteste wijziging, autorisatie, terugdraaien, veilige machinestatus |
| Reset een fout of geef een commando | Bediening op afstand | Gevarenbeoordeling, vergrendelingen, lokale observatie, expliciete procedure |
Sommige handelingen vallen in meer dan één categorie. Een online PLC-verbinding kan beginnen met alleen meekijken. Dezelfde tool kan ook schrijven of een programma naar de PLC laden. Bepaal de grens op basis van wat werkelijk mogelijk is.
Vervangt monitoring op afstand de lokale diagnose?
Nee. Gegevens op afstand helpen een OEM een mogelijke verklaring te vormen. Fysieke informatie kan ontbreken: geluid, trillingen, materiaalconditie, stand van een afscherming, een tijdelijke werkwijze van de operator, een losgekoppelde sensor of schade buiten de meetpunten. Gegevens kunnen ook verouderd, verkeerd geschaald, onvolledig of aan de verkeerde machineversie gekoppeld zijn.
Een handige monitoringweergave toont tijdstempel, bron, kwaliteit of onbekende status, eenheden en machine-identiteit. Het moet de ontkoppeling zichtbaar maken in plaats van de laatste waarde weer te geven alsof deze actueel is. In de installatiehandleiding wordt uitgelegd hoe u de machine-identiteit en configuratiecontext onderhoudt die nodig zijn om die gegevens te interpreteren.
Monitoring op afstand helpt bij de eerste beoordeling. Deze bewijst niet de hoofdoorzaak en geeft geen toestemming voor ingrijpen. Spreek vóór vervolgwerk af welke lokale controles de uitleg op afstand moeten bevestigen. OEM en klant bepalen dit samen.
Wanneer kan bediening op afstand geschikt zijn?
Bediening op afstand kan alleen geschikt zijn als de machine en het bedieningsmodel ervoor zijn ontworpen. Bij de risicobeoordeling moet rekening worden gehouden met de te verwachten toegang, mensen in de buurt van de apparatuur, zichtbaarheid van het werkgebied, communicatieverlies, onverwachte herstart, vergrendelingen, lokale/externe modus en herstel.
ISO 12100 biedt algemene principes voor risicobeoordeling en risicoreductie voor machines. Het toepassen van deze principes is een taak voor competente mensen met de daadwerkelijke machinecontext. Een product voor toegang op afstand maakt een machine niet veilig voor bediening zonder toezicht of bediening op afstand en garandeert geen conformiteit.
Een proces-beïnvloedende actie op afstand heeft op zijn minst antwoorden op deze vragen nodig:
- Wie bij de klant geeft nu toestemming voor de werkzaamheden?
- Welke machinestatus en lokale omstandigheden zijn vereist?
- Hoe weten mensen in de buurt dat er op afstand wordt gewerkt?
- Welke vergrendelingen en veiligheidsfuncties blijven effectief?
- Welke back-up of basislijn bestaat er vóór een wijziging?
- Wat gebeurt er als de communicatie tijdens de actie mislukt?
- Wie kan de werkzaamheden stopzetten en de laatst bekende staat herstellen?
- Welk record legt de goedgekeurde wijziging en het resultaat vast?
Bewaar de controlebeslissing in de ontworpen controller en de bedieningsprocedure. Een cloudservice, een extern dashboard of een algemeen toegangsplatform mag niet de realtime besturingsautoriteit van de machine worden.
Wat is het verschil tussen persoonlijke accounts en leverancierstoegang?
Genoemde werknemers of langdurige servicegebruikers moeten normaal gesproken een individuele identiteit hebben en alleen de middelen die nodig zijn voor hun rol. Ondersteuning door externe partijen kan gebruik maken van een afzonderlijk mechanisme, maar de beperkingen ervan moeten worden begrepen.
Een Orenda-leverancierslink geeft toegang tot één bepaald doel aan degene die de link bezit. U kunt de link intrekken en desgewenst een vervaldatum instellen. De link stelt niet betrouwbaar vast welke persoon deze gebruikt. Deel de link alleen volgens de goedgekeurde organisatieprocedure. Gebruik deze niet als vervanging voor vereiste registratie per persoon.
Bewaar het supportticket, de klantautorisatie, het onderhoudsvenster en het wijzigingsresultaat in de servicerecords van de locatie. Gebruik Orenda om toegang te verlenen tot de goedgekeurde bron en gebruik de eigen machtigingen van de applicatie om de beschikbare acties te beheren.
Welke beveiligingsmaatregelen zijn van toepassing op alle drie de functies?
Het overzicht van de ISA/IEC 62443-serie beschrijft levenscyclusbeveiliging en gedeelde verantwoordelijkheid tussen asset-eigenaren, productleveranciers, integrators en serviceproviders. OMAC's overwegingen voor externe toegang bieden context voor machineautomatisering voor dit onderwerp. Gebruik de beoordeling om de toegestane middelen, applicatie-acties, verantwoordelijke mensen en reactie op verbindingsverlies vast te leggen.
Een basisontwerp moet het volgende omvatten:
- exacte gebruikers- of ondersteuningsmethode, doel, protocol en richting
- minste rechten op zowel de toegangslaag als de doeltoepassing
- afzonderlijke administratieve en dienstverlenende rollen
- beschermde inloggegevens en snelle verwijdering van onnodige toegang
- gesegmenteerde paden in plaats van algemeen bereik naar een klantennetwerk
- beheerde eindpunten of een gecontroleerd technisch werkstation, indien van toepassing
- back-up, terugdraaien en lokaal herstel voor wijzigingen
- logboekregistratie en bewijsmateriaal gevalideerd aan de hand van de daadwerkelijke vereisten
- gedocumenteerd eigendom voor patch- en ondersteuningscomponenten
- gedrag tijdens internet-, identiteits-, DNS-, gateway- of doelfouten
De NIST NCCoE praktijkgids voor de integriteit van industriële besturingssystemen is een ander referentiepunt voor het nadenken over industriële netwerkarchitectuur en geautoriseerde communicatie. Het juiste ontwerp is nog steeds afhankelijk van de daadwerkelijke machine- en klantomgeving.
Wat test een OEM vóór de uitrol?
Test een representatieve machine, sitepad, gebruikersrol en servicetaak. Een demo die een dashboard opent, bewijst slechts één succesverhaal.
Verifiëren:
- De gebruiker bereikt alleen de beoogde machinebron.
- Een observerende rol kan geen opdrachten geven of gegevens schrijven.
- Een bevoorrechte rol kan geen niet-gerelateerde machines of applicaties bereiken.
- Toegangsintrekking en geconfigureerde vervaldatum van leverancierskoppeling werken zoals verwacht.
- Verouderde of niet-verbonden monitoringgegevens zijn duidelijk zichtbaar.
- Netwerkverlies verstoort de lokale besturings- of veiligheidsfuncties niet.
- Lokaal personeel kan doorgaan, stoppen en herstellen zonder het externe pad.
- Het vereiste servicebewijs wordt in de juiste systemen vastgelegd.
- De compatibiliteit van software, protocollen en machinerevisies is bewezen.
- De klant en OEM kunnen het escalatie- en autorisatietraject uitleggen.
Test ook geweigerde acties. Het bewijzen dat de toegestane bron werkt is onvolledig, tenzij het team bewijst dat het bredere netwerk, andere machines en niet-toegestane commando's niet beschikbaar blijven.
Hoe leggen machinebouwers een vaste toegangsgrens vast?
Maak per machinefamilie een takenlijst. Geef bij elke taak aan of het om monitoring, toegang of besturing gaat. Benoem het doel en de minimale gebruikersrol. Leg de vereiste klanttoestemming, lokale aanwezigheid en herstelprocedure bij fouten vast. Hergebruik deze aanpak bij klantprojecten en Box-apparaten. Test elke locatie afzonderlijk.
Koppel die catalogus aan de standaardisatiegids voor service op afstand en een actueel geïnstalleerd machinerecord. Ga er niet vanuit dat het netwerk, de risicobeslissing of de werkprocedure van de ene klant overgaat naar een andere klant.
Waar past Orenda?
Orenda Connect geeft benoemde organisatiegebruikers paden op bronniveau naar goedgekeurde bronnen. Orenda Box kan lokale applicaties draaien die geconfigureerde machinegegevens in de buurt van de apparatuur presenteren. Gebruik deze mogelijkheden om geconfigureerde machinegegevens te bekijken of de applicatie te openen die nodig is voor een ondersteuningstaak. Definieer lees- en schrijfrechten in die toepassing als onderdeel van de installatie.
De PLC en andere ontworpen besturingssystemen blijven verantwoordelijk voor de machinebesturing. Klant en OEM blijven verantwoordelijk voor taaktoestemming, lokale afstemming, wijzigingsbeheer en veilig herstel. De geschiktheid hangt ook af van gegevensbron, doeldienst, protocol, locatienetwerk en bewijsvereisten. Test de werkwijze daarom in een pilot.
De oplossing voor machinebouwers vat de commerciële use case samen. Ga voor controller- en HMI-grenzen verder met de beveiligde externe PLC- en HMI-ondersteuningsarchitectuur.
Wat neemt u mee in het ontwerp?
Monitoring toont wat de geselecteerde gegevens aangeven. Toegang geeft een persoon of servicemiddel een verbinding met een resource. Besturing kan de machine of het proces veranderen. Definieer en begrens deze functies apart, ook als ze dezelfde infrastructuur gebruiken.
Een goed bedrijfsmodel leidt geen toestemming af van connectiviteit. Het houdt de controle en veiligheid van de machine binnen het ontwikkelde lokale systeem, maakt gebruik van beperkte toegang tot bronnen en vereist de procedure van de eigenaar van de activa voordat enige procesbeïnvloedende actie wordt ondernomen.
